Data retention, la scadenza č vicina

di Andrea Buti (www.tglex.com) - Cosa comunicare al ministero di Giustizia? Come comunicare i dati al Ministero? In attesa del 30 giugno, il dibattito č aperto

Roma - Il d.lgs. 109/2008 (Attuazione della direttiva 2006/24/CE riguardante la conservazione dei dati generati o trattati nell'ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione relativa e incidente sulla direttiva 2002/58/CE) all'art. 4 prevede tra i diversi adempimenti, anche una comunicazione "riassuntiva" alla Commissione Europea per il tramite del Ministero di Giustizia. La norma - rubricata Autorità di controllo ed informazioni di tipo statistico - prevede, infatti, che "I fornitori di servizi di cui al presente decreto entro il 30 giugno, inviano annualmente al Ministero della giustizia, per il successivo inoltro alla Commissione europea, le informazioni relative:
a) al numero complessivo dei casi in cui sono stati forniti i dati relativi al traffico telefonico o telematico alle autorità competenti conformemente alla legislazione nazionale applicabile;
b) al periodo di tempo trascorso fra la data della memorizzazione dei dati di traffico e quella della richiesta da parte delle autorità competenti;
c) ai casi in cui non è stato possibile soddisfare le richieste di accesso ai dati
".

L'adempimento è obbligatorio entro il prossimo 30 giugno 2009, i dubbi si affollano: per questo vorrei condividere alcune riflessioni.

Il termine "casi" invero non assume né possiede - normalmente - un significato tecnico nell'ambito del nostro ordinamento giuridico. Ciò non di meno, compito del giurista è quello di reperire comunque un senso congruo al tenore della norma ed alla ratio sottesa. Considerando, allora, la finalità della legge e la problematica, in genere, della data retention, pare ragionevole supporre che con detta espressione debbano ricomprendersi i "fascicoli" relativi a procedimenti giudiziari comunque pendenti presso Uffici Giudiziari. Si potrebbe suggerire, pertanto, di compilare un elenco in cui siano indicati (per pertinenza e non eccedenza ai sensi del d.lgs 196/03):
1) il numero di procedimento ivi riportato (poco rileva se sia uno o l'altro dei plurimi riportati nelle comunicazioni: di solito dovrebbe essere ben visibile un campo indicato come "R.G.N.R." o "Ruolo Generale" o "Cron.". "Mod..." o equivalenti)
2) se trattasi di traffico telefonico o telematico
3) l'autorità richiedente
Per quel che concerne il fattore "tempo", sempre seguendo la finalità della legge, si dovrebbe dedurre che queste informazioni debbano essere speculari e corrispondenti a quelle fornite ai punti che precedono, anche perché se si facesse un unica complessiva valutazione... la previsione perderebbe di senso (indice di pessima interpretazione...) Si potrebbe pensare ad aggiungere un ulteriore colonna a fianco dei dati sopra riportati (magari realizzando una tabella o ad un foglio elettronico).

Peraltro, un'attenzione particolare va dedicata all'autorità richiedente:
Ai sensi dell'art. 132 del codice privacy (così come modificato dal d.l. poi convertito in legge 45/2004), infatti, i dati di cui si sta parlando (vedi riferimenti sotto) "sono acquisiti presso il fornitore con decreto motivato del pubblico ministero anche su istanza del difensore dell'imputato, della persona sottoposta alle indagini, della persona offesa e delle altre parti private. Il difensore dell'imputato o della persona sottoposta alle indagini può richiedere, direttamente al fornitore i dati relativi alle utenze intestate al proprio assistito con le modalità indicate dall'articolo 391-quater del codice di procedura penale, ferme restando le condizioni di cui all'articolo 8, comma 2, lettera f), per il traffico entrante". Dunque i tabulati sia di traffico Internet che telefonico vanno forniti solo se c'è un decreto motivato del Pubblico Ministero. Per essere chiari: la richiesta fatta solo dalla Polizia Giudiziaria che chiede tali dati senza indicare il decreto del P.M. non pare conforme al dettato legislativo. Come riconosciuto da una parte della giurisprudenza, anche prima dell'entrata in vigore della l. 45/2004, infatti, anche i dati cd. "esteriori" di una comunicazione (non il suo contenuto) meritano una tutela attesa la previsione di cui all'art. 15 della Costituzione. Oggi addirittura c'è uno specifico articolo di legge.
Potrebbe però capitare di vedere richieste solo su iniziativa della Polizia Giudiziaria (tra cui la polizia delle comunicazioni, GAT,...) "irrituali": debbono essere riscontrate?

A mio avviso andrebbero riscontrate, precisando che "in mancanza del decreto motivato del P.M. di cui all'art. 132 del d. lgs. 196/2003 il sottoscritto l'ISP (o operatore telefonico) non può procedere alla comunicazione dei dati richiesti".
Anche perché, indirettamente, in mancanza di tale puntualizzazione tali soggetti potrebbero essere ritenuti responsabili per aver fornito dei dati senza le doverose garanzie di legge, esponendosi così ad una potenziale richiesta di danni (richiesta "facilitata" dall'essere il trattamento di dati configurato dalla legge come un attività pericolosa, con conseguente sostanziale "inversione dell'onere della prova" in favore dell'interessato).

Con riferimento a quanto previsto al punto c), infine, si dovrebbero riportare semplicemente i casi in cui non è stato possibile soddisfare la richiesta, magari perché il periodo era eccedente quello richiesto per la conservazione dei dati, o perché non c'erano sufficienti indicazioni che permettessero di rintracciare un determinata risorsa. Una risorsa umana, con nome e cognome o virtuale, ma rappresentata da un IP statico (non dinamico, considerato che gli ISP dovrebbero aver optato per "l'effettiva univocità degli indirizzi di protocollo internet entro novanta giorni dalla data di entrata in vigore" del decreto), da un numero di telefono, un indirizzo o account email o "nome a dominio pienamente qualificato del mail exchanger host, nel caso della tecnologia SMTP ovvero di qualsiasi tipologia di host relativo ad una diversa tecnologia utilizzata per la trasmissione della comunicazione", numero IMEI o quant'altro specificato all'art. 132 del codice come modificato dal provvedimento in esame). Tra questi casi, dovrebbero essere indicate anche quelle richieste irrituali di cui al punto che precede... con la conseguenza che gli stessi cybercop sarebbero "controllati" dal Ministero o dalla Commissione europea in merito alla "qualità", tipologia, numerosità e ritualità dell'operato. Non so se questo era lo scopo della norma, ma direi che ne è un effetto implicito evidente quanto d'altronde la tracciabilità delle attività di indagini informatiche in generale...

Per quanto riguarda la sede del Ministero, mancando esplicite indicazioni, si dovrebbe inviare un plico alla sede centrale, ovviamente con Raccomandata a.r.

Supponendo infine, che chi l'andrà ad aprire non necessariamente dovrà avere molte idee su cosa riguardi, potrebbe essere preferibile specificare che l'inoltro viene fatto "in ottemperanza all'obbligo previsto dall'art. 4 del d. lgs. 109/2008, si inviano in allegato n. 2 tabelle contenenti i dati richiesti dalla citata normativa. Con preghiera di volerne curare l'inoltro alla Commissione Europea come previsto al comma 2 della medesima disposizione legislativa".

Le considerazioni che precedono sono frutto di una prima interpretazione "a caldo" (oltre che per la temperatura esterna) a ridosso della scadenza e salvo italianissime proroghe; se fossero farlocche... gli ISP potranno sempre dire che le ha dette un avvocato. Almeno sotto il profilo della colpa potranno sperare di essere "graziati"!

Il dibattito è aperto, il commento è gradito: almeno per il 30 si potrà aggiustare il tiro...

Avv. Andrea Buti
www.tglex.com

I precedenti interventi di A.B. su PI sono reperibili a questo indirizzo
11 Commenti alla Notizia Data retention, la scadenza č vicina
Ordina
  • Bene, ho scritto la lettera, sono pronto a farla firmare dal mio direttore generale, ma a questo punto sono preso dal panico. A chi devo mandarla? E' sufficiente indicare "ministero della giustizia - sede centrale" come scritto nell'articolo? Ho consultato il sito del ministero, ma non ho trovato indicazioni.
    non+autenticato
  • ma come si fa a verificare l'esistenza del decreto motivato (e le motivazioni)?

    ad esempio io sono stato "spiato" dalla Polizia Postale, ovviamente senza uno straccio di indizio di reità (altrimenti sarei indagato, mi pare ovvio!) e gradirei sapere chi ha avuto la geniale idea di ficcare il naso tra i miei tabulati telematici, senza attribuirmi un reato e conservare i miei dati per anni, senza provvedere alla loro distruzione (i tabulati sono ancora conservati dalla PolPost e li ho pure visti)
    non+autenticato
  • Potresti andare in Procura e verificare se ci sono a tuo nome procedementi "pendenti" ossia aperti o iniziati; se non ne trovi richiedendo l'apposito certificato ( dei carichi pendenti, appunto) significa che il tabulato e' stato ottenuto illegittimamente
    non+autenticato
  • Come ho già scritto, io non sono MAI stato iscritto nel registro degli indagati, ho già richiesto più volte il certificato in Procura, l'esito è sempre lo stesso: nulla risulta.
    Il paradosso sta appunto nel fatto che non essendo indagato, non ho alcun diritto di accedere al fascicolo.
    Lo sbirro ha tentato di cavarsela, uscendosene con l'infelice frase: "sono solo accertamenti", accertamenti un corno! Se vengo perquisito ho diritto ad avere copia del verbale, con tanto di nome di chi ha deciso la perquisizione e la motivazione.
    non+autenticato
  • Ok, recepito, se ha un certificato dei carichi pendenti nullo (cioè senza alcuna iscrizione) mi vengo in mente queste altri ipotesi alternative:
    1) ci sono indagini in corso che ancora non hanno dato luogo ad esercizio dell'azione penale: per accertartene fai una richiesta di eventuali iscrizioni a tuo nome ex art. 335
    c.p.p. (codice di procedura penale): non è lo stesso certificato dei carichi pendenti.
    2) se ha già fatto quanto la punto che precede e ancora non risulta nulla, possono esserci altre spiegazioni:
    2.1) le indagini le sta svolgendo una Procura diversa rispetto a quella a cui ti sei rivolto.. (pare strano ma non c'è un archivio unico; ogni Procura ha il suo DB...)
    2.2.) il P.M: potrebbe aver "secretato" le indagini per 3 mesi (riprova+ tardi..)

    3) se non ricorre nessuna delle ipotesi che precedono...ed ha qualche carta in mano (o altre prove..e..non solo parole...) si potrebbe pensare a fare un esposto-denuncia per verificare, se effettivamente si tratta di una richiesta ti tabulati illecita..
    non+autenticato
  • Avvocato, parliamoci chiaro: i miei tabulati continuano a girare allegramente tra Procura e Polizia Postale da CINQUE anni, senza alcuna rilevanza penale (ho fatto proprio le richieste ex art 335 cpp, non i carichi pendenti).
    Dato per scontato che la richiesta tabulati semplicemente NON doveva essere fatta 5 anni fa (sono stato oggetto di una simpatica "retata" sul web), il problema ora è che siccome il saggio PM non mi ha MAI attribuito alcun reato, la mia posizione non è stata nemmeno archiviata e il GIP quindi non ha chiesto la distruzione dei tabulati (sparsi in giro per l'Italia), che continuano ad essere conservati e considerati come semplici "accertamenti" dalla PolPost.
    Quindi non c'è alcun indizio di reato per la Procura, però io sono "già noto alle Forze dell'Ordine", come si suol dire.

    Per quanto riguarda l'esposto, io lo sto partorendo, perché gradirei che questi tabulati fossero finalmente bruciati e il mio nome non fosse più associato a quella sciagurata retata. Mi pare un mio diritto o sbaglio?
    non+autenticato
  • Chiaro. Certo che e' un tuo diritto, anche ai sensi del codice privacy, ma piu' tempo passa e maggiore e' il rischio prescrizione.Visto che il codice privacy si applica anche nei tribunali perche' non agire anche presso il Garante o il Tribunale?
    non+autenticato
  • dopo le prime 10 righ ahimè mi sono messo il cervello in folle -.- colpa mia sia chiaro eh..troppo legalese
    non+autenticato
  • Concordo, anche se sono un informatico, all'ora di pranzo non ciò capito nulla.
    Cos'è il sunto dell'articolo?? Devo preoccuparmi?
    non+autenticato
  • - Scritto da: Giangi
    > Cos'è il sunto dell'articolo?? Devo preoccuparmi?
    Se non hai mai ricevuto un "decreto motivato da un Pubblico Ministero" non ti preoccupare.
    non+autenticato
  • Beh.. Veramente,se si e' ricevuta una richiesta senza decreto del P.M. al Ministero cio' andrebbe comunicato. Anzi questo sembra uno degli scopi della norma..
    non+autenticato